Zaloguj się
Deutsch English Español Polski
Średnia

Use of insecure jQuery version in OctoberCMS

  • Ujawniono: 05.06.2020
  • Aktualizacja: 11.10.2026 10:22

Impact

Passing HTML from untrusted sources - even after sanitizing it - to one of jQuery's DOM manipulation methods (i.e. .html(), .append(), and others) may execute untrusted code.

Patches

Issue has been patched in Build 466 (v1.0.466) by applying the recommended patch from @jquery.

Workarounds

Apply https://github.com/octobercms/october/commit/5c7ba9fbe9f2b596b2f0e3436ee06b91b97e5892 to your installation manually if unable to upgrade to Build 466.

References

For more information

If you have any questions or comments about this advisory:

Threat Assessment

Assessed as Moderate by the @jquery team.

Acknowledgements

Thanks to @mrgswift for reporting the issue to the October CMS team.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer october/october >= 1.0.319, < 1.0.466 1.0.466
Paczka Composer october/system >= 1.0.319, < 1.0.466 1.0.466

Odnośniki

Ocena CVSS -
Słabość (CWE)
-
Platforma
Composer
Paczka
october/october, october/system
Ujawniono
05.06.2020
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-v73w-r9xg-7cr9 - CC BY 4.0

Historia podatności: october/system

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (25) w archiwum
Wszystkich wpisów
25
Pierwsza → ostatnia
06.2020 09.2026
Bez poprawki
0
Wykorzystywana w atakach
1

Rozkład istotności

  • Krytyczna 1
  • Wysoka 8
  • Średnia 9
  • Niska 7

Ujawnienia w latach

Istotność:
  1. October CMS safe mode bypass using Twig sandbox escape
    Krytyczna · 9.1 CVE-2023-44382 >= 3.0.0, < 3.4.15 3.4.15
  2. October CMS Safe Mode bypass leads to authenticated Remote Code Execution
    Wysoka · 7.2 CVE-2022-35944 >= 2.0.0, < 2.2.34, >= 3.0.0, < 3.0.66 2.2.34, 3.0.66
  3. October CMS upload process vulnerable to RCE via Race Condition
    Wysoka · 8.1 CVE-2022-24800 < 1.0.476, >= 1.1.0, < 1.1.12, >= 2.0.0, < 2.2.15 1.0.476, 1.1.12, 2.2.15
  4. Authenticated remote code execution in October CMS
    Wysoka · 7.2 CVE-2022-21705 < 1.0.474, >= 1.1.0, < 1.1.10, >= 2.0.0, < 2.1.27 1.0.474, 1.1.10, 2.1.27
  5. october/system arbitrary code execution
    Wysoka · 8.8 CVE-2021-32650 >= 1.1.0, < 1.1.6, < 1.0.473 1.1.6, 1.0.473
  6. October/System authenticated file write leads to remote code execution
    Wysoka · 8.8 CVE-2021-32649 >= 1.1.0, < 1.1.6, < 1.0.473 1.1.6, 1.0.473
  7. Deleted Admin Can Sign In to Admin Interface
    Wysoka · 7.2 CVE-2021-41126 >= 2.1.0, < 2.1.12 2.1.12
  8. October CMS auth bypass and account takeover
    Wysoka · 7.4 CVE-2021-29487 < 1.0.472, >= 1.1.1, < 1.1.5 1.0.472, 1.1.5
  9. Account Takeover in Octobercms
    Wysoka · 8.2 Wykorzystywana w atakach CVE-2021-32648 < 1.0.472, >= 1.1.1, < 1.1.5 1.0.472, 1.1.5
  10. Use of insecure jQuery version in OctoberCMS ten wpis
    Średnia ghsa-v73w-r9xg-7cr9 >= 1.0.319, < 1.0.466 1.0.466

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.